多媒体课件：企业内部控制

内部控制引导案例站在被告人席上的刘迪对自己的行为懊悔不已小会计十年“蚁贪”公款1800万元监督流于形式刘迪，中专毕业后被分配到原益阳县税务局新市渡税务所工作，因表现出色，1998年调任益阳市赫山区地方税务局计划财务科经费会计。刘迪学会了打麻将并很快上瘾，1998年到1999年，刘迪输光了所有的积蓄。怎么办?她打起了单位公款的主意。2000年8月，刘迪第一次私开现金支票支取5万元公款但手气不好，5万元很快就输光了。两个月后，她又取款5万元。当年，刘迪虚列了两笔开支，将前两笔账做平。刘迪支取公款就像从个人账户上取款那么便捷，到案发时止，刘迪挥霍的公款就不下1000万元。邬某不再出去工作，全靠刘迪供养。年收入不过5万元的刘迪，对邬某有求必应，每月给他的零花钱不下5万元，还给他买过两辆车、两只藏獒玩。邬某爱泡吧、唱歌，还吸毒、赌博，都是刘迪用公款买单。湖南远扬司法会计鉴定所出具的鉴定报告表明，自2000年8月至2010年10月，刘迪侵吞赫山区地税局公用经费1496万余元，挪用347万余元。至案发时止，尚有1496万余元无法归还。贪污的公款已被刘迪挥霍一空，导致赫山区地税局公用经费无法正常支付。原因单位领导纵容包庇

财务制度没有落到实处

单位关于银行账户开设和管理、印鉴管理、备用金管理、审计监督等财务制度一应俱全单位对经费的管理设有会计、出纳岗位，上有财务科长、分管局长。但是，刘迪担任经费会计之初，现金支票、转账支票等票据以及付款用的所有财务印鉴，都由她一人保管，该局经费账的凭证制作、审核、过账、装订、存档等工作也由她一人完成。审计监督流于形式

单位经费账由刘迪一人记账、对账、审核。出纳不核对银行账，财务科长不履行审核职责。益阳市地税局虽然会对各下属单位的经费进行定期或不定期审计，但市局并不将账簿和记账凭证一一对应审计，也未将银行对账单逐笔对应账簿核对。主要内容第一章内部控制概论 第二章我国内部控制发展的现状 第三章内部控制与风险管理 第四章货币资金业务内部控制 第五章筹资业务内部控制 第六章采购业务内部控制 第七章资产管理内部控制 第八章生产管理业务内部控制 第九章销售业务内部控制 第十章投资业务内部控制 第十一章担保业务内部控制 第十二章工程项目业务内部控制 第十三章内部控制自我评价 第十四章内部控制审计 第一章内部控制概论 第一节内部控制概念的演变1.20世纪40年代前:“内部牵制”阶段内部牵制——以提供有效的组织和经营,并防止错误和其他非法业务发生的业务流程设计。其主要特点是以任何个人或部门不能单独控制任何一项或一部分业务权力的方式进行组织上的责任分工，每项业务通过正常发挥其他个人或部门的功能进行交叉检查或交叉控制。设计有效的内部牵制，使各项业务能完整正确地经过规定的处理程序。内部牵制执行类型实物牵制。例如把保险柜的钥匙交给两个以上的工作人员持有。非同时使用这两把以上的钥匙，保险柜就打不开。机构牵制。例如保险柜的大门若非按正确程序操作就打不开。体制牵制。采用双重控制预防错误和舞弊的发生。簿记牵制。定期将明细帐与总帐进行核对。内部牵制基于两个设想：第一，两个或以上的人或部门无意识地犯同样错误的机会是很小的；第二，两个或以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个人或部门舞弊的可能性。结论：实践证明这些假设是合理的，内部牵制机制确实有效地减少了错误和舞弊行为，因此在现代内部控制理论中，内部牵制仍占有重要的地位，成为有关组织机构控制、职务分离控制的基础。2.40年代至70年代:“内部控制制度”阶段

1949年，美国会计师协会第一次提出内部控制的概念。是包括组织机构的设计和企业内部采取的所有相互协调的方法和措施。1950年，在世界上第一次将内部控制列入政府法规.1958年美审计程序委员会将内部控制划分为：内部会计控制：内部管理控制：同期，日英加澳德也对内部控制规范研究。3.80年代至于90年代:”内部控制结构“阶段1988年，美AICPA发布的SAS55号首次以“内部控制结构”代替“内部控制”，指出：企业的内部控制结构包括为提供取得企业特定目标的合理保证而建立的各种政策和程序。内部控制结构三要素:控制环境，会计系统，控制程序评价:上述内部控制结构的内容正式将控制环境纳入内部控制范畴。人们认识到控制环境是内部控制的一个组成部分，是充分有效的内部控制体系得以建立和运行的基础及保证;不再区分会计控制与管理控制，而统一以要素表述内部控制。因为研究者发现这两者往往是不可分割的，是相互关连的。4.90年代以后:“内部控制整体框架”阶段1992年，美国反舞弊财务报告委员会的发起组织委员会(National

Commission

on

Fraudulent

Reporting）发布报告《内部控制——整体框架》，即“COSO报告”，该报告具有广泛的适用性。1996年美国注册会计师协会全面接受COSO报告的内容，并从1997年1月起实施。定义———是一个由企业的董事会、管理层和其他人员实现的过程。其核心理念——

旨在为下列目标提供合理保证：财务报告的可靠性；经营的效果和效率；符合适用的法律和法规。内部控制框架五要素:环境控制，风险评估，控制活动，信息与沟通，监督。

内部控制五要素及内容控制环境董事会或审计委员会：管理理念和经营方式；组织结构：管理者素质:企业文化:授予权利和责任的方式:人力资源政策和实施；风险评估风险识别：包括对内部因素和外部因素进行检查。风险分析：涉及估计风险的重大程度、评价风险发生风险应对控制活动指对所确认的风险采取必要的措施，以保证单位目标得以实现的政策和程序。包括：业绩评价;信息处理;实物控制;职责分离等信息与沟通组织在一定时间内要以一定的形式确定、收集和交换信息，使员工能够行使责任。包括外部信息与内部信息信息与沟通的重要性：信息与沟通系统包围着组织整个控制活动，组织各层次、各职能机构和各员工的各种控制活动，应以可靠的信息行使责任，分考审，指导趋近目标。

监督是评估内部控制运行质量的过程，即测试评价内部控制设计的合理性，运行的有效性。监督主要包括两个方面：管理控制方法：预算和其他财务报告等内部审计：对COSO内部控制框架的评价：是一个综合性框架：全面:覆盖单位各种业务和事项准确：目标定位合理：提供合理保证

2001年以来风险管理整合框架阶段全面风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制定并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证”。这一阶段的显著变化是将内部控制上升至全面风险管理的高度来认识第二节内部控制发展的原因企业加强内部管理的要求促进了现代内部控制的发展股份制经济的发展促进企业建立和强化内部控制外部审计的发展推动了现代内部控制的发展政府对内部控制的推动第三节内部控制的作用与局限一、内部控制作用1．保证党和国家方针政策与法规制度的贯彻执行2．保证企业经营目标的顺利实现3．保证财务会计信息的质量4．保证财产物资的安全完整5．便于审计工作的开展二、内部控制局限性成本收益制约串通舞弊人为错误管理越权经济活动的不断变化第四节内部控制建立的原则合规与合法性原则目标性原则全面控制原则相互制约原则适用性原则有效性原则成本收益原则安然公司：背景情况全球最大的能源交易商；经营业务覆盖40多个国家和地区；雇员2万余人；年营业收入突破1000亿美元；利润10亿美元；股价最达90美元；《财富》杂志排行榜，位居第七；连续4年获“美国最具创新精神”称号。安然公司：背景情况单位：亿美元项目2000年1999年1998年1997年资产总额655334293226负债总额516214202158少数股东权益24242111股东权益115967056营业收入1008401313203净利润10971安然公司：背景情况安然公司2001年10月16日突然发布公告称，公司前三个季度亏损6.18亿美元。2001年11月，安然公司在和安达信协商之后，向美国SEC提交了报告，对1997年至2001年第二季度的财务报表重新编制，承认高估利润5.91亿美元，隐瞒负债25.85亿美元。2001年12月2日申请破产；股票价格由最高时的90．75美元跌至约50美分；流通股市值由600亿美元跌至不足2亿美元；安然公司高层受到调查；安达信被起诉。安然公司：背景情况安然案件涉及一大批政府要员和国会议员，还使教师、消防员和部分政府雇员的退休基金损失１０亿美元以上，还涉及分布在８４个国家和地区的安达信的８.5万员工.美国著名的经济学家保罗·克鲁格曼说：“安然公司的崩溃不只是一个公司的垮台问题，它是一个制度的瓦解。而这个制度的失败不是因为疏忽大意或机能不健全，而是因为腐朽。”安然公司：造假手段通过SPE高估利润，隐瞒负债；利用出售回购和股权转让，操纵利润；策划不具经济实质的对冲交易，掩盖投资损失；空挂应收票据，虚增资产和股东权益。安然公司：造假手段安然公司自1997年以来，主要通过“组织创新”、“交易设计”和“衍生工具”等方式创立了近3000家特殊目的实体（SPE）其他子公司，其中900家设在“避税天堂”的国家和地区。。安然通过滥用SPE不并表的规定，进行表外融资，提高信用等级；并通过与SPE发生资产买卖、股权转让、对冲交易等业务，夸大营业规模，编造会计利润。

通过滥用SPE合并原则，操作利润安然公司不恰当地利用SPE符合特定条件，可以不并表的惯例，将本应纳入合并报表的3个SPE排除在合并报表之外，导致1997年至2000年期间高估利润4.99亿美元、低估负债数十亿美元；此外，以不符合“重要性”原则为由，未采纳安达信公司的审计调整建议，导致1997年至2000年期间高估利润0.92亿美元。利用出售回购和股票转让，操纵利润1999年6月至2001年9月，安然公司与LJM公司发生了24笔交易。这些交易编报之前出售资产、编报之后再回购资产，交易价格严重偏离公允市价。通过与LJM公司的关联交易，以偏离公允价值的方式虚构利润5.57亿美元；通过出售资产给LJM公司，确认利润8730万美元；通过受让LJM公司控制的五个SPE的股权，确认这些SPE与风险管理有关的利润4.7亿美元。策划不具实质的对冲交易，掩盖投资损失2000年末，安然公司持有高风险投资90亿美元。为避免利润大起大落，安然与LJM2合作设立了4家猛兽类SPE，作为对安然公司交易类证券的避险工具。安然利用与这四个SPE的对冲交易，在短短5个季度中隐瞒了10亿美元的损失（占当期利润总额的72%）。

200019991998非衍生金融工具收入935573477427215非衍生金融工具成本(94517)(34761)(26381)非衍生金融工具毛利(960)13834非衍生金融工具利得（或损失）723253384045其他费用(4319)(4549)(3501)营业利润19538021378净利润979893703利用能源合同及其他衍生工具操纵利润利用衍生金融工具操纵利润第一，2000年非衍生金融工具的成本大于收入。第二，安然公司的非衍生金融工具的毛利处于逐年递减的趋势。第三，安然公司正的营业利润主要来自金融衍生工具的利得。剔除衍生金融工具的利得，安然连续3年的营业利润都是亏损的。第四，安然公司的衍生金融工具利得对报表有着重大影响。2000年衍生金融工具利得是净利润的将近8倍。空挂应收账款，虚增资产和股东权益2000年4月，安然向“鹰爪”出售1.72亿美元的股票，在未收到任何认股款的情况下确认实收资本增加。2001年，安然向“大灰狼”、“野山猫”出售远期合约并承诺在未来向这两家SPE发行8.28亿美元的安然股票，安然将这些远期合约记录为实收资本和应收票据的增加。两项合计虚增资产和实收资本10亿美元。安然公司：资本结构1.股权高度分散。安然像美国大部分股份公司一样，股票大多为公众所持有，没有绝对控股的大股东。2.股权的流动性强。所有权的分散使得个人股东不大可能对其所投资的公司具有控制权,只有通过在股票市场上“用脚投票”的方式来选择代理者,形成对公司行为的约束。因此股权具有高度流动性。3.资产负债率较高。安然所处的行业（石油天然气传输和交易）有着较高的资产负债率。安然也不例外。安然公司：董事会美国的公司治理实行一元制下的外部董事制度，即执行经营职能的董事和执行监督职能的董事都在一个董事会中,不设监事会，外部董事主导提名委员会、审计委员会和薪酬委员会的工作。安然公司：董事会安然公司的17名董事会成员,除董事会主席和首席执行官外,其余15名董事均为独立董事，其中不乏很有名望的专业人士，如审计委员会主席是已退休的斯坦福大学商学院院长、著名会计学教授罗伯特·杰迪克。审计委员会的7名委员全部由独立董事组成。但独立董事未能为安然公司的股东把好对高层管理人员的监督关,最终导致投资者损失惨重。安然共签订了七份涉及14名董事的咨询服务合同,还有多项与不同董事所在的企业进行产品销售的合同,或是向一些董事任职的非盈利机构捐款。安然公司：管理层的激励与约束管理层的薪酬过高,期股、期权被滥用,缺乏透明度和有效监督。据统计,在美国《财富》500强公司中,有90%以上推行股票期权。在纳斯达克上市的企业推行股票期权的也同样在90%以上。据估计,美国企业高层经理人员在去年接受的酬金有60%来自股票期权。安然公司：利害相关者利害相关者参与公司治理力度不够。作为公司债权人的金融机构和作为公司股东的机构投资者在美国公司治理结构中的地位和作用极为有限。公司股权非常分散,企业的大股东主要是机构投资者(如保险公司、养老基金和共同基金等),但根据美国和1934年通过的《证券交易法》规定,机构投资者不能对被持股企业产生直接的影响,因此造成内部约束机制不强。在安然事件中,Ｊ.Ｐ摩根集团、花旗集团和不少退休基金都损失惨重。安然公司：审计监督美国的公司大部分建立了内外审计体系。公司董事会一般都设有审计委员会,成员主要由独立董事组成,负责审阅财务报告、监督内部控制系统操作的有效性、定期会晤外部审计师、讨论程序及重大会计问题、确保公司政策符合有关法律及专业守则、审阅董事酬金及审计师酬金的合理性等。但安然的审计委员会成员一般都与管理层有良好的关系,独立性差。安然公司：审计监督安达信被质疑的事项：出具严重失实的审计报告和内控评价报告；对安然公司的审计缺乏独立性(安达信对安然公司每年约1亿美元的收费中，50%以上来自咨询服务)；未及时将有关问题向有关管理层报告；发现异常，未及时采取行动；销毁审计档案，妨碍司法调查。安然为何突然破产贪婪欺诈的经营行为“鼓励大家藐视各种规章制度”无法验证的财务报表“揭开皇帝的新衣”——谁也无法解释收入从何而来安达信的双重身份“一只手作账，另一只手证明这只手作的账”“利益冲突”把安然送进坟墓摘自美《幸福》杂志2002/39期2002年美国《萨班斯（SOX）法案》2002年7月25日美国通过的《公司改革法案》（Sarbanes-OxleyAct），使传统的注册会计师行业自律模式被打破，代之以政府监督下的独立监管为主的模式，即由美国证券交易委员会（SEC）监督下的公众公司会计监管委员会（PCAOB）来负责制定或审批审计准则、事务所质量控制准则、职业道德准则、独立性准则以及其他与审计报告相关的准则。实际上意味着AICPA正在逐步失去审计准则制定权。2002年美国《萨班斯（SOX）法案》302条款:由CEO和CFO在内的企业管理层，对公司财务报告的内部控制按季度和年度就以下事项发表声明：对建立和维护与财务报告有关的内部控制负责。设计所需的内部控制，以保证管理层能知道该公司及其子公司的所有重大信息，尤其是报告期内的重大信息。与财务报告有关的内部控制的任何变更都已得到恰当的披露，这里的变更指最近一个会计季度已经产生，或者合理预期将对于财务报告有关的内部控制产生重大影响的变更。对IT内部控制的有效性予以评估。2002年美国《萨班斯（SOX）法案》404条款：管理层在其年度文件中提供关于与财务报告有关的内部控制的年度评估报告。管理层的年度报告要求包括以下内容：管理层有责任为企业建立和维护恰当的与财务报告有关的内部控制。识别管理层所采用的内部控制框架，以便按要求评估公司与财务报告有关的内部控制的有效性。对从一上个会计年度末以来与财务报告有关的内部控制的有效性予以评估，其内容也包括有关与财务报告有关的内部控制是否有效的公开声明。2002年美国《萨班斯（SOX）法案》404条款（续）：年度审计报告中，注册会计师事务所发表的财务审计报告，包括管理层对与财务报告有关的内部控制有效性评估的证明报告。管理层关于公司针对财务报告内部控制有效性评估的书面结论，应包含在其对财务报告内部控制的报告和其对审计师的信函中。管理层对公司面向财务报告的内部控制的有效性必须发表直接意见。如果与财务报告有关的内部控制中有一个或多个重要缺陷，管理层将不能对财务报告的内部控制有效性作出评估结论，而且，管理层应该披露自最近一个会计年度末以来财务报告内部控制方面的所有重要缺陷。2002年美国《萨班斯（SOX）法案》404条款要求，每个公司都要将公司任何一个岗位的职务、职责描述得一目了然，这项工作需要大量材料和文件支持。同时上市公司要保证在对交易进行财务记录的每一个环节都有相应的内部控制制度（例如产品销售的条件、记录付款的时间和人员等）。此外，还要指出内部控制的缺陷所在。要完成这些工作绝非易事，特别是对于组织分散，业务范围复杂的大型公司而言，组织越分散，业务越复杂就意味着要做的工作越繁杂，这促使他们不得不投入更多来实施404条款所要求的内部控制措施。2002年美国《萨班斯（SOX）法案》404条款的遵循成本第一年最高，包括关键内部控制的初始存档和补救。以后年度的遵循成本会大幅度减少。根据国际财务执行官(FEI)对321家企业的调查结果，每家需要遵守萨班斯法案的美国大型企业第一年实施404条款的总成本将超过460万美元。全球著名的通用电气公司表示，404条款致使公司在执行内部控制规定上的花费高达3000万美元。第二章

我国内部控制发展的现状了解我国内部控制的相关法律法规掌握我国内部控制框架中涉及的内部控制目标与内部控制要素了解我国内部控制信息披露状况第一节我国内部控制的相关法律法规一、《会计法》有关内部控制的规定会计法历程1985年出台1993年和1999年两次修订现行《会计法》自2000年开始实施。《会计法》修订工作已被列入2014年国务院立法工作计划调研类项目。1999年颁布，并于2000年7月实施的《会计法》是我国第一部体现内部会计控制要求的法律第二十七条明确提出：各单位应当建立、健全本单位内部会计监督制度。单位内部会计监督制度应当符合下列要求：记帐人员与经济业务事项和会计事项的审批人员、经办人员、财物保管人员的职责权限应当明确，并相互分离、相互制约；重大对外投资、资产处置、资金调度和其他重要经济业务事项的决策和执行的相互监督、相互制约程序应当明确；财产清查的范围、期限和组织程序应当明确；对会计资料定期进行内部审计的办法和程序应当明确。二、审计署、注协有关内部控制的规定2004年，制定了《审计机关内部控制测评准则》，并规定于2004年2月1日起施行。该准则共24条，主要规定了内部控制测评的程序与方法。内部控制的定义，即是指被审计单位为了维护资产的安全、完整，确保会计信息的真实、可靠，保证其管理或者经营活动的经济性、效率性和效果性并遵守有关法规，而制定和实施相关政策、程序和措施的过程。内部控制由控制环境、风险评估、控制活动、信息与沟通和监督五个要素组成。准则明确了建立健全内部控制并保证其有效实施是被审计单位的责任，审计人员的责任是对内部控制的健全性和有效性进行评价。内部控制测评的步骤明确为四个步骤：(1)对内部控制进行调查了解；(2)对内部控制进行初步评价，评估控制风险；(3)对内部控制的执行情况进行符合性测试；(4)提出内部控制测评结果，并利用测评结果确定实质性测试的范围、重点和方法。

三、人民银行、银监会、保监会有关内部控制的规定l997年5月，中国人民银行颁布了《加强金融机构内部控制的指导原则》，这是我国第一个关于内部控制的行政规定。2004年8月20日，中国银行业监督管理委员会(简称银监会)通过了《商业银行内部控制评价试行办法》，自2005年2月1日起施行。2007年7月26日，银监会发布《商业银行内部控制指引》，首次以法规形式明确商业银行内部控制。四、证监会有关内部控制的规定1999年中国证监会发布《关于上市公司做好各项资产减值准备等有关事项的通知》，要求上市公司本着审慎经营、有效防范化解资产损失风险的原则责成相关部门拟定(或修订)内部控制制度2000年发布的《公开发行证券公司信息披露编报规则》2002年12月19日，证监会发布《证券投资基金管理公司企业内部控制指导意见》2006年6月5日,《上海证券交易所上市公司内部控制指引》2006年9月28日，《深圳证券交易所股票上市规则》，也发布了《深圳证券交易所上市公司内部控制指引》五、国家经济贸易委、国资委有关内部控制的规定1999年8月，国家经济贸易委颁布了《国有大中型企业建立现代企业制度和加强管理的基本规范（试行）》于2000年实施。该规范是对国有企业内部控制的宽范规定。国务院国有资产监督管理委员会于2006年6月20日出台了《中央企业全面风险管理指引》。六、财政部等部委的《企业内部控制基本规范》及其配套指引1996年12月财政部发布《独立审计具体准则第9号——内部控制和审计风险》2001年6月22日，财政部发布了《内部会计控制规范——基本规范(试行)》、《内部会计控制规范——货币资金(试行)》等2008年6月28日，财政部、证监会、审计署、银监会、保监会五部委联合发布《企业内部控制规范——基本规范》，自2009年7月1日起先在上市公司范围内施行。目标合理保证企业经营管理合法合规资产安全财务报告及相关信息真实完整提高经营效率和效果促进企业实现发展战略该基本规范在形式上借鉴了COSO报告五要素框架，同时在内容上体现了风险管理八要素框架的实质。该基本规范确定了企业内部控制的5个目标、5个原则、5个要素，由5个部门签发，搭建了我国企业内部控制体系的框架。中国版萨班斯法

2010年4月，《企业内部控制应用指引第l号——组织架构》等18项应用指引《企业内部控制评价指引》《企业内部控制审计指引》(以下简称“企业内部控制配套指引”)，2008年颁布的内部控制基本规范该配套指引和基本规范自2011年1月1日起在境内外同时上市的公司中施行；自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司中施行；在此基础上，择机在中小板和创业板上市公司中施行，并鼓励非上市大中型企业提前执行。标志着以防范风险和控制舞弊为中心，以控制标准和评价标准为主体的完备的企业内部控制标准体系已初步形成。这是继我国企业会计准则、审计准则体系建成并有效实施之后的又一项重大系统工程。中国企业内部控制规范体系《企业内部控制配套指引》的结构核心，“如何控制”，设计（建设）评价指引审计指引应用指引CPA外部审计（鉴证、审核）内部控制咨询、培训内部控制审计注册会计师的新业务同一事务所不能同时做公司管理层自我评价第二节我国内部控制的框架一、内部环境内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。1．公司治理结构股东(大)会董事会监事会经理层审计委员会员工2．内部审计根据国际内部审计师协会的定义，内部审计是一种旨在增加组织价值和改善组织营运的独立、客观的确认和咨询活动，它通过系统化、规范化的方法来评价和改善风险管理、内部控制及治理程序的效果，以帮助实现组织目标。内部审计承担着帮助组织实施整体目标的责任，而其工作范围也包括风险管理、内部控制和治理程序。2008年发布的《企业内部控制基本规范》，明确要求企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。内部审计机构应当结合内部审计监督，对内部控制的有效性进行监督检查。内部审计机构对监督检查中发现的内部控制缺陷，应当按照企业内部审计工作程序进行报告；对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。3．人力资源政策人力资源政策是企业管理的核心内容之一，企业应当制定和实施有利于企业可持续发展的人力资源政策。人力资源政策应当包括下列内容：员工的聘用、培训、辞退与辞职员工的薪酬、考核、晋升与奖惩关键岗位员工的强制休假制度和定期岗位轮换制度掌握国家秘密或重要商业秘密的员工离岗的限制性规定有关人力资源管理的其他政策。4.企业文化应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管企业理理念，强化风险意识。董事、监事、经理及其他高级管理人员应当在企业文化建设中发挥主导作用。企业员工应当遵守员工行为守则，认真履行岗位职责。企业应当加强法制教育，增强董事、监事、经理及其他高级管理人员和员工的法制观念，严格依法决策、依法办事、依法监督，建立健全法律顾问制度和重大法律纠纷案件备案制度。二、风险评估1．风险识别企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。风险承受度是企业能够承担的风险限度，包括整体风险承受能力和业务层面的可接受风险水平。2．风险评估分析企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。企业进行风险分析，应当充分吸收专业人员，组成风险分析团队，按照严格规范的程序开展工作，确保风险分析结果的准确性。3．风险应对企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。风险规避指企业对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。风险分担指企业准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。风险承受指企业对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。三、控制活动控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内。1．不相容职务分离控制要求企业全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。不相容职务分离会计记录财产保管业务经办审核监督授权批准2．授权审批控制授权批准是指企业在处理经济业务时，必须经过授权批准以便进行控制，授权批准按其形式可分为常规授权和特别授权。常规授权是指企业在日常经营管理活动中按照既定的职责和程序进行的授权。特别授权是指企业在特殊情况、特定条件下进行的授权。授权批准的范围:通常企业的所有经营活动都应纳入其范围.授权批准的层次:应根据经济活动的重要性和金额大小确定不同的授权批准层次，从而保证各管理层有权亦有责。授权批准的责任:应当明确被授权者在履行权力时应对哪些方面负责，应避免责任不清，一旦出现问题又难咎其责的情况发生。授权批准的程序:应规定每一类经济业务审批程序，以便按程序办理审批，以避免越级审批、违规审批的情况发生。单位内部的各级管理层必须在授权范围内行使相应职权，经办人员也必须在授权范围内办理经济业务。3．会计系统控制要求企业严格执行国家统一的会计准则制度，加强会计基础工作明确会计凭证、会计账簿和财务会计报告的处理程序保证会计资料真实完整（1）会计凭证控制会计凭证控制是指在填制或取得会计凭证时实施的相应控制措施,包括原始凭证与记账凭证的控制.会计凭证控制的内容主要包括:严格审查设计科学的凭证格式连续编号规定合理的凭证传递程序明确凭证装订与保管手续（2）会计账簿控制会计账簿控制是指在设置启用及登记会计账簿时实施的相应控制措施。其具体内容包括：按规定设置会计账簿；启用会计账簿时要填写“启用表”；会计凭证必须经过严格的审核无误才能登记入账；对会计账簿中的账页或账户连续编号；会计账簿应当按规定的方法和程序登记并进行错误更正；按规定的方法与时间结账。（3）财务报告控制财务报告控制是指在编报财务报告时实施的相应控制措施。具体包括：按规定的方法与时间编制及报送财务报告；编制的会计报表必须由单位负责人、总会计师及会计主管人员审阅、签名并盖章；对报送给各有关部门的会计报表要装订成册，加盖公章等（4）会计复核控制会计复核控制是指对各项经济业务记录采用复查核对的方法进行的控制。目的是避免发生差错和舞弊，保证财务会计信息的准确与可靠，及时发现并改正会计记录中的错误，做到证、账、表记录相符。具体包括：凭证之间的复核；凭证与账簿之间、账簿与报表之间及账簿之间的复核。4．财产保护控制要求企业建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。企业应当严格限制未经授权的人员接触和处置财产。（1）限制接近限制接近现金、其他易变现资产、存货。即严格限制无关人员对资产的接触，包括对直接接触实物实体的限制、对接近实物的使用或支配的批准文件的限制、对接近计划资料及有关经济核算资料的限制等。（2）定期盘点建立资产定期盘点制度，并保证盘点时资产的安全性。通常可采用先盘点实物，再核对账册来防止盘盈资产流失的可能性，对盘点中出现的差异应进行调查，对盘亏资产应分析原因、查明责任、完善相关制度。（3）财产保险通过对资产投保（如火灾险、盗窃险、责任险或一切险）增加实物受损补偿机会，从而保护实物的安全。（4）财产记录（保护与监控）严格限制接近会计记录的人员，以保持保管、批准和记录职务分离的有效性。会计记录应妥善保存，尽可能减少记录受损、被盗或被毁的机会。对某些重要资料（如定期财务报告）留有后备记录，以便在遭受意外损失或毁坏时重新恢复。（5）信息考评制度及定期对账制度信息考评制度：是指对赊销客户的财务状况、偿债能力、经济实力及企业信誉等方面进行综合评价，为企业未来作促销决策提供依据。定期对账制度：是指与已成事实的赊销客户往来账项定期核对，避免不实账务的发生。（6）应收账款催收制度指据应收账款的账龄进行账龄分析，并根据合同，建立一系列与工资奖金挂钩的催款措施，尽快缩短收回账款的时间，防止发生坏账。5.预算控制第三十三条：预算控制要求企业实施全面预算管理制度，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束。

全面预算控制预算体系建立（项目、标准、程序）预算编制与审定预算指标分解与责任落实预算执行授权预算实施监控预算执行分析与调整预算业绩考核企业目标资本预算投资预算利润目标成本预算直接成本预算经营预算销售预算间接成本预算购置处置预算采购预算现金预算市场价格6．运营分析控制要求企业建立运营情况分析制度，经理层应当综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。7．绩效考评控制要求企业建立和实施绩效考评制度，科学设置考核指标体系，对企业内部各责任单位和全体员工的业绩进行定期考核和客观评价，将考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。激励相容是指在市场经济中，每个理性经济人都会有自利的一面，其个人行为会按自利的规则行为行动；如果能有一种制度安排，使行为人追求个人利益的行为，正好与企业实现集体价值最大化的目标相吻合，这一制度安排，就是激励相容。激励相容的根本问题就是如何调动人们的积极性的问题，即通过某种制度或政策的安排来诱导人们努力工作，使得努力工作的收闪大于所付出的代价。进而使人们的自利和社会利益有机地结合起来。而激励相容的不足在于无法解决参与者的个人偏好。培育参与者的个人偏好，即信念是激励相容机制能够实现目标的更有效保证。四、信息与沟通信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。1.信息收集的方法与技术第三十九条：企业应当对收集的各种内部信息和外部信息进行合理筛选、核对、整合，提高信息的有用性。

企业可以通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息。

企业可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。

2.信息处理的方法与技术第四十条：企业应当将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。信息沟通过程中发现的问题，应当及时报告并加以解决。

重要信息应当及时传递给董事会、监事会和经理层。

3.信息沟通的方法与技术第四十一条企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。

企业应当加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。

4.反舞弊机制第四十二条：企业应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。

企业至少应当将下列情形作为反舞弊工作的重点：

（1）未经授权或者采取其他不法方式侵占、挪用企业资产，牟取不当利益。

（2）在财务会计报告和信息披露等方面存在的虚假记载、误导性陈述或者重大遗漏等。

（3）董事、监事、经理及其他高级管理人员滥用职权。

（4）相关机构或人员串通舞弊。

5.举报投诉制度和举报人保护制度第四十三条：企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。

举报投诉制度和举报人保护制度应当及时传达至全体员工。五、内部监督第五条:内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。第四十四条：企业应当根据本规范及其配套办法，制定内部控制监督制度，明确内部审计机构（或经授权的其他监督机构）和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求。1.内部监督种类基本规范第四十四条将内部监督分为日常监督和专项监督。日常监督是指企业对建立与实施内部控制的情况进行常规、持续的监督检查。日常监督一般由企业相关机构、人员在日常业务和管理中对内部控制运行情况进行的监督。专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一或者某些方面进行有针对性的监督检查。专项监督的范围和频率应当根据风险评估结果以及日常监督的有效性等予以确定。（1）日常监督这两种监督可以借鉴美国COSO报告中有关监督的具体做法。日常监督相当于美国COSO报告中的持续性监督。美国COSO报告中的持续性监督活动主要涉及七方面内容：在日常活动中获得内控执行的证据；外部反映对内部信息的印证程度；定期核对财务系统数据与实物资产；对内外部审计师关于加强内部控制的措施作出响应；培训、会议等对内控有效性的反馈；定期询问员工是否理解并执行了公司的道德准则，员工是否执行了内控活动；定期要求企业员工明确说明他们是否理解并遵守企业的员工行为守则。同样，也可要求经营及财务人员说明某些内部控制程序是否正常地实施。管理层或内部审计人员可以对这些说明进行核实；内审活动的有效性。（2）专项监督基本规范中专项监督相当于美国COSO报告中的独立评估。独立评估工作是内部审计、监察等部门从独立性角度出发，对内控系统进行审核的过程，主要关注的是系统的设计和运行的有效性。2.内部控制缺陷的认定与整改

第四十五条：企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。

内部控制缺陷包括设计缺陷和运行缺陷。企业应当跟踪内部控制缺陷整改情况，并就内部监督中发现的重大缺陷，追究相关责任单位或者责任人的责任。（1）内部控制缺陷的种类一般分类：设计缺陷与运行缺陷设计缺陷是指缺少为实现控制目标所必需的控制，或现存控制设计不适当、即使正常运行也难以实现控制目标。运行缺陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制按内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为一般缺陷、重要缺陷和重大缺陷（也称实质性漏洞，以下统称重大缺陷）重大缺陷，是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形。重要缺陷，是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大，须引起企业管理层关注。（2）内部控制缺陷的认定在下列情况之一，企业应当认定内部控制存在设计或运行缺陷：未实现规定的控制目标。未执行规定的控制活动。突破规定的权限。不能及时提供控制运行有效的相关证据。

企业判断和认定内部控制缺陷是否构成重大缺陷，应当考虑下列因素：影响整体控制目标实现的多个一般缺陷的组合是否构成重大缺陷。针对同一细化控制目标所采取的不同控制活动之间的相互作用。针对同一细化控制目标是否存在其他补偿性控制活动。（3）内部控制缺陷的整改

企业应当根据内部控制评价过程中发现的内部控制缺陷，督促相关单位或部门进行整改，并对整改结果进行核查和确认。

对于为实现单个或整体控制目标而设计与运行的控制不存在重大缺陷的情形，企业应当认定针对这些整体控制目标的内部控制是有效的。对于为实现某一整体控制目标而设计与运行的控制存在一个或多个重大缺陷的情形，企业应当认定针对该项整体控制目标的内部控制是无效的。

对于因业务流程外包等原因造成企业无法评价特定业务、特定流程的内部控制有效性的情形，内部控制评价机构应当充分考虑该项业务流程及其相关控制的重要性，确定其对整体控制目标有效性评价的影响。3.内部控制自我评价第四十六条：企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。

内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。

国家有关法律法规另有规定的，从其规定。内部控制评价报告内部控制评价报告至少应当包括下列内容：（1）内部控制评价的目的和责任主体。（2）内部控制评价的内容和所依据的标准。（3）内部控制评价的程序和所采用的方法。（4）衡量重大缺陷严重偏离的定义，以及确定严重偏离的方法。（5）被评估的内部控制整体目标是否有效的结论。（6）被评估的内部控制整体目标如果无效，存在的重大缺陷及其可能的影响。（7）造成重大缺陷的原因及相关责任人。（8）所有在评估过程中发现的控制缺陷，以及针对这些缺陷的补救措施及补救措施的实施计划等。4.内部控制的可验证性第四十七条：企业应当以书面或者其他适当的形式，妥善保存内部控制建立与实施过程中的相关记录或者资料，确保内部控制建立与实施过程的可验证性。第三节我国内部控制的信息披露一、自愿披露阶段证监会对上市公司内部控制信息披露相关规范出台前，我国无论是理论界，还是实务界对于内部控信息披露的研究极少，这一阶段，对于内部控制信息披露并无强制的规定，内部控制信息依然附属于会计信息的一部分，并没有单独分离。二、局部强制披露阶段2000年年底证监会颁布《公开发行证券的公司信息披露编报规则》第l、3、5号，分别要求商业银行、保险公司和证券公司招股说明书应对内部控制制度的完整性、合理性和有效性作出说明，还应委托所聘请的会计师事务所对其内部控制制度，尤其是风险管理系统的完整性、合理性与有效性进行评价，提出改进建议，并出具评价报告。2007年证监会颁布《公开发行证券的公司信息披露内容与格式准则第2号——年度报告的内容与格式》（修订版)，修订的准则第2号对内部控制信息的披露有了强制性的规定：公司应该说明生产经营控制、财务管理控制、信息披露控制等内部控制制度的建立和健全情况，包括内部控制制度建立健全的工作计划及其实施情况、内部控制检查监督部门的设置情况、董事会对内部控制有关工作的安排、与财务核算相关的内部控制制度的完善情况。同时鼓励中央控股的、金融类及其他有条件的上市公司披露董事会出具的、经审计机构核实评价的公司内部控制自我评估报告。三、整体强制披露阶段

2006年，上海证券交易所和深圳证券交易所分别发布了《上海证券交易所上市公司内部控制指引》、《深圳证券交易所上市公司内部控制指引》。这两个指引均要求上市公司在年报中披露内部控制制度的制定和实施情况，并明确了公司董事会要对内部控制制度负责，董事会应形成内部控制自我评价报告；注册会计师在对公司进行年度审计时，应出具内部控制评价意见；内部控制自我评价报告和注册会计师评价意见与公司年度报告同时对外披露。2008年6月，财政部等五部委联合发布《企业内部控制基本规范》，该规范要求企业应结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。内部控制自我评价报告成为上市公司年报中强制性的附件。至此，我国上市公司内部控制信息披露进入了一个强制性披露阶段。三鹿事件“三鹿毒奶粉”事件简介三鹿集团曾是我国国内最大的乳制品生产企业。1993年开始，其前身“幸福乳业生产合作社”实施品牌运营和集团化战略运作，在全国多个省市进行低成本扩张，迅速崛起，1996年，成立三鹿集团，田文华担任董事长，2006年，三鹿集团引进全球最大乳制品原料出口商新西兰恒天然集团。但是，2008年9月，三鹿集团因其婴幼儿配方奶粉中掺杂致毒物质三聚氰胺被迅速推向破产的边缘，2009年2月12日，法院正式宣布三鹿集团破产，2009年3月4日，三元以61650万元的价格将其收购。1.内部环境资料显示，三鹿集团早在2008年3月就接到消费者反映，但直到2008年8月三鹿已经秘密召回部分问题奶粉之时，却仍然没有将事件真相及可能产生的后果公之于众，有媒体称这种做法直接导致此后的一个多月里又有一批婴儿食用了三鹿问题奶粉。显然此次事件在某种程度上检验了三鹿集团决策层的诚信与道德观。事实上除了三鹿集团外，向牛奶中添加三聚氰胺的耿氏兄弟等不法分子、告知这些不法分子通过添加三聚氰胺可通过检测的技术人员、销售给不法分子三聚氰胺化工原料的人员，都存在着只顾利益不顾消费者健康的问题，而这种环境因素也许才是真正导致此次事件的罪魁祸首。我国的内部控制基本规范中将职业道德修养和专业胜任能力作为聘用员工的重要标准，要求企业加强文化建设，培育积极向上的价值观和社会责任感，这对培育一个良好的环境氛围，更好地发挥内部控制的风险防范作用有着积极的意义，而要实现这个目标显然非一朝一夕之功。2.风险评估。众所周知，食品中不能添加的物质远比能添加的多，现有的检测手段不可能对每种有害物质都进行检查。就奶粉这种需要从分散农户处采购原料的食品而言，每个农户的奶牛喂养过程、原料奶的加工、储存和运输过程等都可能存在不同的风险，这就给原料奶的质量检验带来了挑战。我们知道，一般的企业内部控制都是针对常规事项进行设计的（如奶粉的营养成分是否达标等），而对例外事项（如添加三聚氰胺）则重视不足。这对内部控制的设计提出了挑战。显然，食品加工企业除了对原料采购、产品加工、存储储藏、物流配送等各个环节进行风险评价、分析之外，还应该就最可能产生风险的环节设立应对措施，例如风险评估时针对生产的奶粉原料中可能会含有哪些有害物质，原料提供者添加这些物质的可能性以及消费者食用这些物质的后果严重性等进行评价、排序，并从原料采购、产成品的检测验收等方面设定有针对性的指标，以提高内部控制的效率和效果。3.控制活动。食品行业的风险问题更多地与消费者的生命财产安全密切相关，控制活动也更应该切实、有效。此次奶粉的污染物三聚氰胺尽管对普通消费者而言还非常陌生，但在食品行业并非首次出现。早在2007年4月，中国徐州的一家宠物食品公司在出口美国的宠物食品中添加此种物质冒充蛋白质，导致大批宠物肾衰竭而死亡。美国食品和药品管理局也曾通报我国部分企业在出口的用于制造宠物食品的小麦蛋白、大米蛋白及麸皮等植物源性蛋白中违规添加三聚氰胺。对这种“有前科”的食品添加物，食品企业显然应该有所记录和警惕。三鹿集团奶粉事件曝光后，根据警方抓获的耿某介绍，在2007年底前向三鹿集团销售的牛奶就屡次因检验不合格而被拒收。而三鹿集团对这种“屡次不合格”牛奶的提供者居然没有“诚信记录”，在其向牛奶中添加三聚氰胺，使得“问题”奶进一步演化为“毒奶”而顺利通过检测后没有保持“合理怀疑”。从事实看，三鹿集团能够在2007年前“屡次”查出耿某提供的牛奶不合格，说明企业拥有严格的采购验收制度并得到切实执行，但如果能对日常控制活动中发现的一些不良信息进行收集、整理，并对异常现象（屡次不合格的原料提供者后来提供的都是合格原料）寻找合理解释，以进一步提高控制活动的效率效果，则发现“耿某”类不法分子的伎俩并非全无可能。4.信息与沟通。早在2008年3月三鹿集团就已经接到消费者的投诉，6月份反映的人越来越多，但直到2008年8月2日，三鹿集团才将相关信息上报给石家庄市政府。这中间已存在信息与沟通不及时、不全面的问题。而根据《国家重大食品安全事故应急预案》的有关规定，地方人民政府和食品安全综合监管部门接到重大食品安全事故报告后，应当立即向上级人民政府和上级食品安全综合监管部门报告，并在2小时内报告至省（区、市）人民政府，也可以直接向国务院和食品药品监管局及相关部门报告。上述规定事实上是对信息沟通的及时性做出了明确的要求，但实际情况是，石家庄市政府直到9月8日才将有关情况的书面报告提交给河北省政府。这种信息与沟通的延迟在一定程度上加大了毒奶粉的危害后果。5.内部监督。作为中国食品工业百强、农业产业化国家重点龙头企业，三鹿对内部监督不能说不重视，因为其产品是经过“1100道检测”的。而对于为何没有检测出三聚氰胺，专家给出的解释是在现有的检测指标中主要是通过检测氮元素来确定奶粉的蛋白质含量，没有针对三聚氰胺的专门检测。而三聚氰胺这种化工原料的含氮量高达66%，不法分子正是通过增加牛奶中的氮元素含量来达到通过检测的目的。这表明企业的监控活动中，除了日常的监控活动外，还应该有一些专项的、非常规的监控活动，从而达到发现控制缺陷的目的。除了三鹿产品，还有其他被发现存在问题的古城、圣元、伊利奶粉等都被授予“免检产品”称号，这意味着上述产品在获取了免检证书后可以在有效期内不受各地质检部门的监督检查，这显然也不符合内部控制的持续监控原则。从三鹿奶粉事件的表面看，主要的风险因素来自原料采购控制环节，但从事件的产生、发展来分析，则无疑牵涉到监管环境、行业特征、内部控制等多个层面。从内部控制的设计看，我们对食品原料的采购验收环节存在缺陷，指标设计不全面；从内部控制的执行看，我们对风险事项的识别和评估还缺乏科学合理的方法论指导，对信息与沟通的及时性、有效性认识不足，在内部环境的建设尤其是培育积极向上的价值观和社会责任感方面还应付出更多努力。125第三章内部控制与风险管理了解风险以及风险管理的含义熟知风险的类别掌握企业全面风险管理框架的主要内容及基本流程126第一节风险管理概述一、风险涵义（一）风险的本质“风险”的提出与研究始于19世纪末的西方社会传统的契约经济学把企业风险的来源分为两种:(1)企业内部交易的不确定性,指企业内部的委托代理交易、经理知识的有限性、劳动雇佣关系等各种状况的不确定性而产生风险；(2)企业外部环境的变化,指企业经营环境的变化而产生的风险。一般地,人们把环境的不确定性分为两种,一种是基于环境自身的动态和随机地变化,另一种是企业对环境的认知能力相对有限。企业风险实质表现为企业的交易费用增加。127(二)风险分类根据引起不确定性的原因可以归纳为两类:1.系统性风险(systematicrisk),或称为不可分散风险，指外部经济体的整体变化,这些变化包括社会、经济、政治等企业难以控制的事实或事件。这类风险对企业影响的程度不一,企业的自身无法控制，但所有的企业都要面对；2.非系统风险(unsystematicrisk),又称可分散风险，指企业受自身因素的风险,这种风险只造成企业自己的不确定性,对其他企业不发生影响。它是特定企业或特定行业所特有的，与政治、经济和其他影响所有资产的市场因素无关。因此,企业针对此类风险进行控制的措施就比较多。128二、全面风险管理的含义1.COSO的定义企业风险管理是一个由企业的董事会、管理层和其他员工共同参与的，应用于企业战略制定和企业内部各个层次和部门的，用于识别可能对企业造成潜在影响的事项并在其风险偏好范围内管理风险的，为企业目标的实现提供合理保证的过程。129该定义强调：（1）企业的风险管理是一个过程，其本身并不是一个结果，而是实现结果的一种方式。（2）企业风险管理是一个由人参与的过程，它不只是企业的政策、调查和表格，还涉及一个企业各个层次员工。（3）该过程可用于企业的战略制定。（4）该风险管理过程应用于企业内部每个层次和部门，企业管理者对企业所面临的风险应有一个总体层面上的风险组合观。（5）该过程是用来识别可能对企业造成潜在影响的事项并在企业风险偏好的范围内管理风险。（6）设计合理、运行有效的风险管理能够向企业的管理者和董事会在企业各目标的实现上提供合理的保证。（7）企业风险管理框架针对一类或几类相互独立但又存在重叠的目标，目的在于企业目标的实现。有效的风险管理可以为企业财务报告和合法性目标的实现提供合理的保证。1302.我国《中央企业全面风险管理指引》的定义企业风险，指未来的不确定性对企业实现其经营目标的影响。企业风险一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等；也可以能否为企业带来盈利等机会为标志，将风险分为纯粹风险(只有带来损失一种可能性)和机会风险(带来损失和盈利的可能性并存)。全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。131二、企业风险管理的发展(一)传统的企业风险管理传统的企业风险管理将风险定义为企业遭受损失的可能性风险管理主要是指企业采用系统的和规范的方法对风险进行识别、转移和分散等,采用的管理方法主要是风险回避、风险预防、风险自留、风险转移和风险组合等。企业的风险管理目标就是降低损失大小及降低损失发生可能性。132(二)企业集成风险管理企业各部门的风险管理是孤立地开展,难以协调。因此基于过去风险管理的局限性,有学者呼吁在企业应建立新的“企业集成风险管理(EnterpriseIntegratedRiskManagement)(EIRM)”

区别于传统风险管理主要是具有一个目标体系该目标体系是在企业整体战略指导下制定,然后在企业各部门和活动中进行分解,形成一个树状的企业风险目标体系图。企业风险管理目标、企业风险管理组织、企业风险管理系统方法及企业风险管理信息系统的有机结合。133美国安然公司(Enron)为什么会出事儿安然事件发生后，在对其分析调查时发观：安然的董事会及审计委员会均采取了不干预(“hands—off”)监控模式，没有对安然的管理层实施有效的监督，包括没有查问他们所采用“投资合伙”的创新的会计方法。事件发生之后，部分董事表示不太了解安然的财务状况，也不太了解他们的期货及期权的业务。由于安然重视短期的业绩指标，管理层的薪酬亦与股票表现挂钩，这诱发了管理层利用创新的会计方法和做假，以赢取丰厚的奖金和红利。虽然安然引用了非常先进的风险量化方法监控期货风险，但是营运风险的内部控制形同虚设，管理高层常常藐视或推翻公司制定的内控制度。这是最终导致安然倒闭的重要因素。134第二节COSO企业风险管理框架主要内容一、企业风险管理的定义企业风险管理是一个过程，受企业的董事会、管理层和其他人员的影响，应用于企业的战略制定及各个方面，旨在确定影响企业的潜在重大事件，将企业的风险控制在可接受的程度内，从而为实现企业的目标提供合理保证。135从“内部控制”到“企业风险管理”控制环境风险评估控制活动监督作业活动1作业活动2循遵营经告报信息与沟通内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监控经营报告遵循子公司业务单位分支机构企业整体层次136二、企业风险管理的构成要素企业风险管理框架包括八个基本要素内部环境目标制定事件识别风险评估风险应对控制活动信息和沟通监控内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监控经营报告遵循子公司业务单位分支机构企业整体层次1371.内部环境建立风险管理理念。应认识到未预期事件与预期事件一样可能发生。建立企业的风险文化。考虑所有的其他组织行为如何影响风险文化。1382.目标设定在设定目标时，管理层应该考虑风险战略。形成企业的风险偏好（riskappetite）——从高层次的视角来确定管理层和董事会乐意接受多大风险。风险容忍度（risktolerance），是指目标变化程度的可接受水平，是与风险偏好相联系的。1393.事件（风险）识别区分风险和机会。带来负面影响的事件代表风险。带来正面影响的事件代表自动抵消（机会），管理层应该在战略制定中重新考虑这些事件的存在。考虑发生在内部的或发生在外部的可能影响战略和目标实现的事件。指出内部资源与外部资源应如何结合起来，相互作用来影响风险的组合。140风险识别战略风险经营风险业务管理风险资源管理风险法律事务风险141企业风险管理结构战略管理经营管理供应投资活动资产售后服务业务管理资源管理法务管理人力资源资金生产研发活动销售信息战略风险供应风险投资风险资产风险售后风险人力风险资金风险生产风险研发风险销售风险信息风险公司治理内部控制企业风险管理法律风险142战略风险识别PEST分析：政治、经济、社会、技术等环境分析Porter五要素分析：竞争者、新加入者、替代品、供应商、客户等分析SWOT分析：强项、弱项、机会、威胁等分析战略管理环节战略风险143长虹基本情况长虹前身为1958年创建的军工企业“国营四川无线电厂”，位于绵阳市，是我国研制生产军、民用雷达的重要基地，是建国初期重点建设项目之一。1965年，军转民，“国营四川无线电厂”更名为“国营长虹机器厂”。1973年，长虹厂成功研制出第一台电视机，注册商标“长虹”，开始创建长虹品牌。1994年，长虹股票在上海证券交易所挂牌上市。2004年，长虹品牌价值达330.73亿元，成为中国最有价值的知名品牌。144长虹历年经营业绩（亿元）主营收入净利润19991015.32000107.11.2200195.10.92002125.91.82003141.32.42004115.4-36.8主营收入净利润199324.44.3199442.77.1199567.611.51996105.916.71997156.726.1199811620145长虹的国际化战略1998年长虹提出“世界品牌，百年长虹”的战略目标；2000年开始出口；2001年底开始与APEX做交易；2002年，长虹出口额达7.6亿美元，其中APEX就占了近7亿美元；2003年，长虹出口额达8亿美元，APEX占6亿美元；从2000年开始出口到现在，长虹总的出口额24亿多美元146长虹的国际化应收帐款2000年底为18亿；2001年底为28.8亿；2002年底为42.2亿；2003年底为49.8亿；2004年第三季度季报为45.5亿。而欠账的大头正是APEX，达40亿。147APEX的商业信用长虹造成如此多的应收帐款完全在于公司的风险控制机制的缺失。2001年，厦华曾向中国出口信用保险公司了解APEX的信用度，得到的回答是“APEX的信用度为零”和“没有保险公司愿意为APEX的货物提供保险”；TCL集团几年前也曾想通过APEX进入美国市场，但是他们对APEX提出的一些条件并不满意，特别是觉得赊销的方式风险太大，加上APEX以前与一些中国合作伙伴的拖欠货款纠纷，所以TCL没有与APEX合作。148长虹的教训与经验教训：坏帐准备（APEX）：25亿多；存货跌价准备：10亿经验：战略目标制定的科学性和正确性风险管理的必要性和及时性149经营风险分析经营环节风险业务风险资源风险法务风险经营管理业务管理资源管理法务管理150经营风险分析业务管理风险分析供应活动投资活动售后服务业务管理生产活动研发活动销售活动供应风险投资风险售后风险生产风险研发风险销售风险151业务风险分析研发风险：技术、资金、人才风险投资风险：投资项目、合作伙伴的风险供应风险：商品质量、交货时间、价格、汇率和客户稳定性的风险生产风险：产品质量、交货时间的风险销售风险：市场、价格、营销策略的风险售后服务风险：满意程度的风险152经营风险分析资源风险分析资产资源管理人力资源资金信息资产风险人力风险资金风险信息风险153资源风险分析人力资源风险：数量、素质风险财务风险：现金流、利率、汇率等风险资产风险：安全、效率风险信息风险：可靠性、及时性风险154百富勤案例1997年6月至8月期间，百富勤向印尼SS公司贷出一笔2.65亿美元的无担保短期贷款，并计划替SS公司配发新股，以筹集一笔资金来偿付这笔贷款。1997年底，东南亚金融风暴来临，印尼盾迅速贬值，97年底的汇率还是1美元兑5000印尼盾，至98年1月8日就跌至1：9600，最低纪录为1：11000。155百富勤案例由于汇率大跌，股市疲弱，SS股价下跌35%，配股计划落空，SS无法到期偿付这笔巨额贷款。为了应对金融风暴的影响，百富勤于1997年11月就计划引进瑞士苏黎世保险集团作为战略投资者，投资2亿美元，认购其可转换优先股，并定于98年1月9日批准此交易，1月13日付款。156百富勤案例这时，百富勤正好有一笔6000万美元的短期贷款于1月9日到期，为此，百富勤与一家美资银行安排了一笔6000万美元的短期贷款作为过渡，定于1月9日到帐。恰在此时，SS公司因遭